JP5302712B2 - クライアント端末、ユーザ管理方法、端末管理プロセッサ、プログラム - Google Patents

Description

本発明は、利用目的に応じて異なる処理を実行する複数の利用モードを持ち、それらの利用モードを切り替えて利用するクライアント端末に関し、特に各利用モードの利用目的に応じてユーザのアイデンティティを切り替えて利用するクライアント端末、ユーザ管理方法、端末管理プロセッサ、プログラムに関する。

近年の仮想化技術の進展により、単一のハードウェア上に仮想的に複数の計算機環境を実現することが一般的になっている。この仮想化技術をＰＣ等のクライアント端末に適用すれば、一台の端末上で複数のＯＳ環境を使い分けることができるようになる。例えば多くのアプリケーションを持つＯＳ、メディア処理に優れるＯＳ、軽量で起動の速いＯＳ、古いアプリケーションの動作に必要な旧バーションのＯＳ等を、それぞれ仮想マシン上で動作させ、目的に応じて切り替えて利用できるようになる（非特許文献１）。

しかしながら、利用するＯＳ環境の数が増えればユーザ管理が煩雑になるといった問題が生じる。例えば初期設定時にそれぞれのＯＳ環境に対してユーザ登録が必要であることや、それぞれのＯＳ環境にログインする度にパスワード入力が必要になることなど、操作が煩雑になるといった問題が生じる。さらにＯＳ環境を変更する際には再設定が必要になる。ところでサーバにおいて仮想化を利用する場合には、一つのＯＳ環境のテンプレートを作成し、これを複数の仮想マシンに展開する方法が一般に用いられている。しかしながらクライアント端末上で多様なＯＳ環境を動作させる場合、設定はそれぞれのＯＳ環境の利用目的ごとに異なるため、上記の方法を用いることができず、引例をはじめとする従来技術では上記の運用上の問題を解決することができない。

Paul Barham, Boris Dragovic, Keir Fraser, Steven Hand, Tim Harris, Alex Ho, Rolf Neugebauer, Lan Pratt, and Andrew Warfield, "Xen and the Art of Virtualization", Proceedings of SOSP, pp.164-177, 2003.

前述したように、従来の仮想マシン環境では、複数のＯＳ環境に対して、初期設定時のユーザ登録や各ＯＳ環境へのログインの手間などのユーザ管理が煩雑になる問題があった。本発明の目的は上記の問題を解決することにある。すなわち、一つのクライアント端末において、複数の利用目的に応じてＯＳ環境を使い分ける際、ユーザ管理の手間を削減することにある。

本発明のクライアント端末は、複数の実行対象を実行できる。なお、実行対象とは実行することで何らかの効用をもたらすものである。本発明のクライアント端末は、複数の実行対象の処理を実行する実行部と、ユーザ管理を行う端末管理部と、ネットワークと接続する機能を有するネットワークインターフェース部と、端末保持者と情報を授受するための入出力部とを備える。

端末管理部は、少なくとも端末管理記録部、実行対象管理部、ユーザ管理部、ユーザインターフェース部を備える。端末管理記録部は、少なくとも実行対象とコンテキスト識別情報とユーザインターフェース情報とを対応させる利用モード管理情報と、コンテキストと環境設定情報とを対応させるコンテキスト管理情報と、接続先の装置に対する認証に用いるクレデンシャルを記録している。ユーザ管理部は、保持者確認手段とクレデンシャル選択手段とを有する。実行対象管理部は、コンテキスト取得手段とユーザインターフェース情報取得手段と環境設定手段とを有する。

保持者確認手段は、保持者の正当性を確認する。クレデンシャル選択手段は、保持者のコンテキストに対応するクレデンシャルを選択する。コンテキスト取得手段は、利用モード管理情報を用いて実行中の利用モードに対応するコンテキスト識別情報を取得する。ユーザインターフェース情報取得手段は、利用モード管理情報を用いてユーザインターフェース情報を取得し、ユーザインターフェース部に渡す。環境設定手段は、コンテキスト管理情報を用いてコンテキストに対応する環境設定情報（クレデンシャル設定情報）を取得し、実行対象の利用目的に応じたクレデンシャルを選択するなどの環境設定を実行する。

本発明の仮想クライアント端末によれば、ＯＳ環境から分離された端末管理部でユーザ管理を一括して行うため、従来ＯＳ環境毎に必要であったログイン認証の手間を軽減できる。また、ネットワーク上のサーバに対するクライアント認証については、ＯＳ環境の利用目的別にクレデンシャルを管理することで、利用目的を切り替えた際に利用するサーバに対するユーザＩＤやクレデンシャルが同時に切り替わる。したがって、利用目的の異なる実行環境に対してクレデンシャルを秘匿できるなど適切な認証が行えるほか、同一利用目的となる複数のＯＳ環境については、ユーザＩＤやクレデンシャルの設定が共有できる。さらに特定の利用目的に対して仮想マシン上で稼働するＯＳを、他のＯＳに更新変更した場合も、それぞれのＯＳの利用目的が同一であれば再設定が不要となる。以上のように、本発明により、端末の利用目的に応じたユーザ管理が簡単に行えるようになり、利便性が向上する。

実施例１の仮想クライアント端末を用いた仮想クライアントシステムを示す図。 実施例１の仮想クライアント端末の機能構成例を示す図。 実施例１の端末管理部１２０の処理フローの例を示す図。 端末と実行対象、実行環境の関係を表す概念図。 利用モード管理表の例を示す図。 ノート型の仮想クライアント端末への画面表示の例を示す図。 背景画像の例を示す図。 コンテキスト管理表の例を示す図。 実施例１の仮想クライアント端末の状態遷移を示す図。 状態遷移表の例を示す図。 実施例１の仮想クライアント端末の全体的な動作手順を示す図。 入出力部のディスプレイの表示の例を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１は、実施例１の仮想クライアント端末を用いた仮想クライアントシステムを示す図である。仮想クライアントシステムは、仮想クライアント端末１００、サービス提供サーバ２００がネットワーク１０を介して接続されて構成される。ネットワーク１０は例えばインターネットや企業網等である。サービス提供サーバ２００は仮想クライアント端末１００を介してユーザにサービスを提供するＷｅｂサーバなどである。

図２に、実施例１の仮想クライアント端末の機能構成例を示す。仮想クライアント端末１００は、複数の実行対象を実行できる端末（装置）であって、複数の実行対象を実行する実行部１１０と、ユーザ管理を行う端末管理部１２０と、ネットワークと接続する機能を有するネットワークインターフェース部１９０と、利用者（保持者）と情報を授受するための入出力部１４０と、実行対象となるプログラムコードや実行対象からアクセスされるデータを蓄積する実行対象記録部１３０とを備える。ネットワークインターフェース部１９０は、具体的にはセルラー無線ネットワークインターフェース、Ethernet（登録商標）インターフェース、WiFiネットワークインターフェースなどである。入出力部１４０は、具体的にはディスプレイ、キーボード、マウスなどである。

端末管理部１２０は、端末管理記録部１２９、実行対象管理部１２１、ユーザ管理部１２２、ユーザインターフェース部１２４、ネットワーク接続管理部１２５、制御部１２６を備える。端末管理記録部１２９は、少なくとも実行対象とコンテキスト識別情報とユーザインターフェース情報（画面表示の特徴を示す情報など）とを対応させる利用モード管理情報を表形式でまとめた利用モード管理表と、コンテキストと環境設定情報とを対応させるコンテキスト管理情報を表形式でまとめたコンテキスト管理表と、認証アルゴリズムで用いる情報であるクレデンシャルを記録している。コンテキストとは、実行対象の用途、利用目的を表す情報であり、具体的な例は後述する。利用モードとは、特定のコンテキストのもとで実行される特定の実行対象を表すものとする。コンテキストＩＤ（コンテキスト識別情報）はコンテキストを特定する番号など、利用モードＩＤ（利用モード識別情報）は利用モードを特定する番号などである。ユーザ管理部１２２は、保持者確認手段１２２１とクレデンシャル選択手段１２２２とを有する。実行対象管理部１２１は、コンテキスト取得手段１２１１とユーザインターフェース情報取得手段１２１２と環境設定手段１２１３とを有する。なお、利用モード管理情報やコンテキスト管理情報は、管理対象の情報が対応つくように記録されれば、表形式以外の方法で記録してもよい。

ユーザインターフェース部１２４は、実行対象管理部１２１からの指示に従って、入出力部１４０にユーザインターフェースを設定する。この他、実行部１１０で実行中の実行対象に対する端末保持者の入力を、入出力部１４０のキーボードやマウスを介して行ったり、実行対象から保持者への出力を、入出力部１４０のディスプレイを介して行ったりする。また、保持者に対して利用モードの選択を促す画面を、入出力部１４０のディスプレイを介して出力し、保持者からの利用モードの選択を意図する入力を、入出力部１４０のキーボードやマウスを介して受け取り、この入力を利用モードＩＤに変換して実行対象管理部１２１に通知する。

ネットワーク接続管理部１２５は、実行対象とネットワークとの接続を管理する。制御部１２６は、端末管理部１２０を全体的に制御する。より具体的には、ネットワーク接続管理部１２５は、各種アクセスメディアに応じたネットワークインターフェース部１９０（例えばセルラー無線ネットワークインターフェース、Ethernet（登録商標）インターフェース，WiFiネットワークインターフェースなど）を管理し、実行対象それぞれと、各アクセスメディアを通したネットワークとの間の通信を制御する。

実行対象とは実行することで何らかの効用をもたらすものであり、実行環境とは実行対象の実行に必要な要素を表すものである。例えばアプリケーションプログラムを実行対象と考えると、ランタイムライブラリ、ＯＳ、端末ハードウェア、入出力デバイスが実行環境となる。あるいはアプリケーションプログラム、ランタイムライブラリ、ＯＳまでを実行対象と考えると、端末ハードウェア、入出力デバイスが実行環境となる。このように実行対象と実行環境の関係は相対的なものである。以下の説明では、後者の例を前提に説明する。すなわちアプリケーションを含むＯＳの状態を実行対象とし、そのＯＳを動作させるハードウェアまたは仮想マシンなどを実行環境とする。ただし、上記のとおり本発明の思想はこの例に限定されるものではない。

本説明の中では、仮想クライアント端末１００を保持している人（保持者）とサービス提供サーバ２００から見たユーザとを区別して説明する。保持者とは、ある時点で仮想クライアント端末を保持し操作しているエンティティ（人）を指すものとする。ユーザとは、サービス提供サーバ２００から見た、サービスを利用するエンティティを表す。通常ある時点での保持者が、その時点でサービスを利用するユーザとなるが、ユーザのアイデンティティは、利用するサービス（あるいはサービス提供サーバ）によって異なる見え方をしてもよい。例えば、保持者ＸがサービスＡに対しては“ＩＤ０００１”、サービスＢに対しては“会員番号２００９”などのように、異なるユーザ識別子により識別されてもよい。またそれぞれのサービスに対するユーザ識別子の空間は異なってもよい。ユーザのアイデンティティとは、ユーザを特定可能とする情報の集合であり、例えばユーザ識別子を含んでもよい。

クレデンシャルとは、サービス提供サーバ２００に対して提示されるべきユーザのアイデンティティ（ユーザ識別子等）、証明書、認証に必要な秘密情報例えば認証アルゴリズムで用いる秘密鍵、パスワード、暗証番号などを含む、またはこれらのうち、少なくとも１つ以上からなる情報である。クレデンシャルは基本的にはサービス提供サーバ毎に用意されるが、例外として複数のサーバにおいて同一ユーザ（同一ユーザと認識した場合）のクレデンシャルを共用してもよい。また、ここでは複数のサービス提供サーバに対する複数のクレデンシャルをひとまとめにしたものをクレデンシャルセットと呼ぶ。さらにクレデンシャルセットを、実行対象の利用目的ごとに用意してもよい。端末管理記録部１２９は、実行対象の利用目的ごとに用意された複数のクレデンシャルセットを格納する。

図３に実施例１の端末管理部１２０の処理フロー（Ｓ１２０）の例を示す。まず、入出力部１４０を介した利用者（保持者）の操作、たとえばメニュー画面から選択するなどの操作によって、利用モードが決定される（Ｓ１２４１）。保持者確認手段１２２１は、保持者の正当性を確認する（Ｓ１２２１）。例えば、保持者にパスワードの入力を促す内容の情報を入出力部１４０のディスプレイに表示し、保持者から入力されたパスワードを、あらかじめ保持する正しいパスワードと照合するなどして保持者の正当性を確認する。コンテキスト取得手段１２１１は、利用モード管理表を用いて実行中の利用モードに対応するコンテキスト識別情報（例えばコンテキストＩＤ）を取得する（Ｓ１２１１）。ユーザインターフェース情報取得手段１２１２は、利用モード管理表を用いてユーザインターフェース情報を取得し、ユーザインターフェース部に渡す（Ｓ１２１２）。そして、ユーザインターフェース部１２４が、取得したユーザインターフェース情報にしたがって、入出力部１４０にユーザインターフェースを設定する（Ｓ１２４２）。より具体的には、利用モードと対応する画面表示をユーザに提示するなどである。環境設定手段１２１３は、コンテキスト管理表および前記取得したコンテキスト識別情報に基づきコンテキストに対応する環境設定情報を取得し設定する（Ｓ１２１３）。具体的には、クレデンシャル選択手段１２２２により、保持者のコンテキストに対応するクレデンシャルを選択する（Ｓ１２２２）。そして、環境設定手段１２１３が、取得されたクレデンシャルを設定する。環境設定手段１２１３は、クレデンシャル以外の設定も行う手段としてかまわないが、特に本発明にとって重要なクレデンシャルを設定する機能を有している点に注目すると、クレデンシャル設定手段と考えればよい。例えば、実行対象管理部１２１で管理される、コンテキスト識別情報（実行対象の利用目的をあらわす）に基づいて、端末管理記録部１２９に格納されたクレデンシャルセットが選択され設定される。さらにその中から特定のサービス提供サーバ２００に対応するクレデンシャルが選択され、サービス提供サーバ２００に提示されるべきユーザのアイデンティティが抽出され、サービス提供サーバ２００に対する認証が行われる。サービス提供サーバ２００はユーザの認証に基づいて、ユーザにサービスを提供する。

図４は、端末と実行対象、実行環境の関係を表す概念図である。図４（Ａ）は、仮想化を用いない端末の概念図である。端末９００には実行対象９００１と実行環境９００２の１対が含まれている。図４（Ｂ）は、仮想化を用いた仮想クライアント端末の概念図の例である。仮想クライアント端末１００には３対の実行対象と実行環境が含まれ、仮想的に３台の端末（仮想マシン１０１、１０２、１０３）として動作する。実行対象１０１１、１０２１、１０３１は、仮想クライアント端末１００の実行部１１０におかれ、実行される。実行対象１０１１、１０２１、１０３１に対してそれぞれ仮想的なハードウェアを提供する実行環境１０１２、１０２２、１０３２は、端末管理部１２０、実行対象記録部１３０、入出力部１４０、ネットワークインターフェース部１９０により仮想的に実現される。仮想クライアント端末１００は、端末管理部１２０を備えていることが特徴である。そして、端末管理部１２０によりユーザ管理を一括管理し、複数の利用目的（利用モード）に応じた環境設定を行うことで、環境設定を簡単に行えるようにする。

本発明の仮想クライアント端末は、上述のように端末管理部１２０を備えている。そして、ＯＳ環境から分離された端末管理部１２０でユーザ管理を一括して行うため、従来ＯＳ環境毎に必要であったログイン認証の手間を軽減できる。また、ネットワーク上のサーバに対するクライアント認証については、ＯＳ環境の利用目的別にクレデンシャルを管理することで、利用目的を切り替えた際に利用するサーバに対するユーザＩＤやクレデンシャルが同時に切り替わる。したがって、適切な認証が行えるほか、同一利用目的となる複数のＯＳ環境については、ユーザＩＤやクレデンシャルの設定が共有できる。さらに特定の利用目的に対して仮想マシン上で稼働するＯＳを、他のＯＳに更新変更した場合も、それぞれのＯＳの利用目的が同一であれば再設定が不要となる。以上のように、本発明により、端末の利用目的に応じたユーザ管理が簡単に行えるようになり、利便性が向上する。

管理表の具体例
図５に、利用モード管理表の例を示す。コンテキストとは、実行対象の用途、利用目的を表すものである。利用モードとは、特定のコンテキストのもとで実行される特定の実行対象（仮想マシンイメージ等）に対して、画面表示情報を関連付けたものである。コンテキストＩＤはコンテキストを特定する番号など、利用モードＩＤは利用モードを特定する番号などである。画面表示情報は、端末保持者が利用モードを容易に識別できるようにあらかじめ定められたもので、画面表示の特徴を表し、利用モードと一対一に対応する。利用モード管理表は、それぞれが一つの利用モードを表す複数の行からなり、各行は利用モードを識別するための利用モードＩＤ、当該利用モードの利用時の画面表示の特徴を表す画面表示情報、当該利用モードの利用目的を表すコンテキストＩＤ、当該利用モードの元で実行される実行対象（仮想マシンイメージ等）からなっている。なお、図５の利用モードの例におけるＭ２とＭ３、もしくはＭ６とＭ７のように、コンテキストが同じでも実行対象が異なれば別の利用モードとして保持者に認識される。なお、画面表示情報の実体はユーザインターフェース部１２４に保持され、実行対象管理部１２１の制御のもと、入出力部１４０のディスプレイなどを介して保持者に提示される。

次に、図６と図７を参照して画面表示情報の提示の例を示す。図６にノート型の仮想クライアント端末への画面表示の例を、図７に背景画像の例を示す。図６ (Ａ)の例では、入出力部１４０はディスプレイの下の利用モードを表すＬＥＤを含んで構成される。この例では左から３つめのＬＥＤが点灯しており、利用モードＭ３が選択されていることを示している。また図６（Ｂ）の例では、ディスプレイの右側の部分が利用モードを表す特別な表示領域となっており、上から３つめのタブの色が異なることで、利用モードＭ３が選択されていることを示している。あるいは、画面表示情報はこの表示領域に表示される利用モードに対応した背景画像であってもよい。背景画像としては図７に示すような模様でもよく、写真や絵などの画像でもよい。このように利用モードを表す画面表示は、ハードウェア上で表示領域を制御するものであってもよく（図６（Ａ））、ソフトウェア上で表示領域を制御するものであってもよい（図６（Ｂ）、図７）。なお、これらいずれの例においても、利用モードを表示する部分は、実行部１１０上で実行される各実行対象から制御できないように構成すればよい。そのように構成すれば、各実行対象によって、自身が動作するモードを偽ることができない。つまり、仮想マシンが実行される実行部１１０とは独立な構成が、利用モードの表示領域を制御している。したがって、現在実行中の利用モードを誤認することを防ぐことができる。なお、実行対象の動作結果が表示される図６（Ｂ）の画面の左側部分の背景（壁紙）として、利用モードを表す画面表示を行うことも可能である。ただしこの場合は、実行対象から背景を故意に書き換えることができないように、実行対象から背景部分への書き込みを禁止することが必要である。

図８に、コンテキスト管理表の例を示す。コンテキストとは実行対象の利用目的を表すもので、コンテキスト管理表は各コンテキストの属性や、各コンテキストの元で実行される実行対象に対する実行環境の設定を予め規定したものである。図８のコンテキストの例では、“Ｃ１（重要業務）”は業務目的でかつ重要なデータを扱う用途、“Ｃ２（通常業務）”はメールの送受信等の通常業務の用途、“Ｃ３（ネット調査）”はインターネット上のサイトを検索して調査業務を行う用途、“Ｃ４（決済）”は個人目的でオンラインショッピングを行う用途、“Ｃ５（プライベート）”は個人目的でのオンラインコンテンツの閲覧等、“Ｃ６（ゲスト）”は一時的に第三者に端末機能を提供する用途をそれぞれ表す。各コンテキストは処理目的、重要度、保持者確認の要否などの属性を持ち、重要度と保持者確認の要否から必要とされるセキュリティレベルが定義される。以上のコンテキスト属性に基づき、実行環境の設定があらかじめ定義されている。例えばクレデンシャル設定は、各コンテキストの元で利用されるクレデンシャル一式を含んだクレデンシャルセットを指定するものであり、上記の処理目的やセキュリティレベル等の属性により決定される。例えば“Ｃ１（重要業務）”のコンテキストのもとでは、クレデンシャル設定は安全性の高い証明書による認証方式を用いる“クレデンシャルセット１（重要業務）”を選択し、“Ｃ３（ネット調査）”あるいは“Ｃ６（ゲスト）”のコンテキストでは、パスワード等の簡易な認証方式を用いる“クレデンシャルセット３（無料サービス）”が選択される。なお、クレデンシャルセットの実体は、上述したように端末管理記録部１２９に格納される。また、コンテキスト管理表を設定するときに、重要度と保持者確認を設定すると、あらかじめ記憶されているルールに基づいてセキュリティレベルを自動的に設定する構成をとってもよい。また、処理目的とセキュリティレベルが設定されると、同様にあらかじめ記憶されているルールに基づいてクレデンシャル設定を自動的に設定する構成をとってもよい。このルールは実行対象管理部１２１に記憶されていてもよい。

実行環境の状態遷移
仮想クライアント端末１００は、さらに端末管理記録部１２９に、実行対象の状態の遷移の条件とアクションとを対応させる状態遷移表も記録しておき、実行対象管理部１２１が、状態遷移表にしたがって実行対象の状態を遷移させ、必要なアクションを実行する状態遷移実行手段１２１４も有してもよい。

図９は、仮想クライアント端末１００の状態遷移を示す図である。仮想クライアント端末１００の状態とは、各利用モード（Ｍ１〜Ｍ８）の状態を含んでいる。例えば、利用モードＭ１の状態をＳ（１）と表すと、仮想クライアント端末１００の状態は８つ組＜Ｓ（１）, Ｓ（２）, …, Ｓ（８）＞を含んでいる。各利用モードの状態は、図９（Ａ）に示された状態Ｔ０〜Ｔ７のいずれかである。それぞれの状態は、さらに次の３つの状態の直積で表現できる。すなわち接続（ｃｎ）か切断（ｄｃ）のいずれか、アンロック（ｕｌ）かロック（ｌｋ）のいずれか、起動（ｕｐ）か停止（ｄｎ）のいずれかである。接続／切断とは、利用モードに関わる実行対象とユーザインターフェース部１２４との間が接続されているか、すなわち、実行対象が操作の対象として選択されているか否かを表す。アンロック／ロックとは、保持者が入出力部１４０を介してパスワードを入力するなどして、実行対象への操作が許可されているか否かを表す。なお、アンロックのための入力は上記ではパスワードで説明したが、暗証番号、もしくは指紋、光彩などの生体情報に基づくものであってもよい。起動／停止とは、利用モードに関わる実行対象が起動されているか否か、例えば実行部１１０により仮想マシン上でＯＳが起動されているか否かを表す。以上の３つの状態の直積で、利用モードに対する以下の８つの状態が定義される。例えば、Ｔ０は切断（ｄｃ）かつロック（ｌｋ）かつ停止（ｄｎ）の組み合わせからなる初期状態である。同様にＴ１は接続のみされた状態、Ｔ２はアンロックのみされた状態、Ｔ３は接続、アンロックされ起動を待っている状態、Ｔ４は起動のみされた状態、Ｔ５は接続、起動され、アンロックを待っている状態、Ｔ６はアンロック、起動され接続を待っている状態、Ｔ７は接続、アンロック、起動され、当該利用モードに関わる実行対象が実行されている状態をそれぞれ表す。例えば、起動およびアンロックされているが、接続されていない状態Ｔ６はバックグラウンドで実行対象が実行している状態である。以下、簡単のため、一つの利用モードに対する状態遷移について説明するが、上述したように仮想クライアント端末１００全体の状態は、各利用モードの状態の集合、例えば上記の例では＜Ｓ（１）, Ｓ（２）, …, Ｓ（８）＞を含んで定義されるものとする。なお、本実施例においては、各利用モードの状態は独立とする。

図９（Ｂ）には、利用モードに関わる状態間の遷移を引き起こすイベントが示されている。例えば、ｃｎ／ｄｃは保持者の入力に基づく接続要求／切断要求をそれぞれ表す。ｕｌ／ｌｋは保持者によるＰＩＮ入力などによるアンロック要求／ロック要求をそれぞれ表す。ｌｋイベントは保持者による直接指示もしくはタイムアウトにより発生する。タイムアウトは、最後にアンロックを行ってから一定時間が経過した場合、あるいは最後に端末操作を行ってから一定時間が経過した場合に発生するものとする。このいずれのインターバルも、各利用モードで異なって設定されていてもよい。また、利用モードによっては、利用モードが選択されたときに強制的にｌｋイベントを発生させてもよい。すなわち利用モードが選択されたとき強制的にパスワード入力などによるアンロックが必要になる。また利用モードによっては、特定のアプリケーションが起動されたときにｌｋイベントを発生させてもよい。このようにすれば、より重要な利用モードに切り替えた時、もしくはより重要なアプリケーションを起動したときの処理をより安全に実行できる。ｕｐ／ｄｎは保持者の入力等に基づく当該利用モードに関わる実行対象への起動要求／停止要求をそれぞれ表す。図９（Ｃ）は状態遷移を表す図である。また図１０は状態遷移をあらわす表（状態遷移表）である。例えば、状態Ｔ０においてイベントｃｎが入力された場合には、状態Ｔ１に遷移し、当該利用モードに関わる実行対象を接続（選択）する。このように、状態遷移表には、実行対象の状態の遷移の条件とアクションとを対応させている。状態遷移表も備えることで、状態と具体的な処理（アクション）の把握が容易になるので、実行環境の設定（変更）と状態の管理が容易になる。

図１１に、仮想クライアント端末１００の全体的な動作手順を示す。また、図１２に、入出力部１４０のディスプレイの表示の例を示す。図１２（Ａ）は初期状態での設定画面の例、図１２（Ｂ）は状態が遷移した後の設定画面の例、図１２（Ｃ）は実行対象表示画面の例、図１２（Ｄ）はアンロックの状態の画面の例である。はじめに仮想クライアント端末１００を起動すると、端末管理部１２０の実行対象管理部１２１で初期設定を行う（Ｓ１００)。具体的にはシステムの状態を初期状態、すなわちすべての利用モードの状態をＴ０にして、設定画面（図１２（Ａ））を入出力部１４０に表示する。次に、実行対象管理部１２１は、ユーザインターフェース部１２４および入出力部１４０を介して保持者からの指示を入力する（Ｓ１４０）。入力とは具体的には特定のキーを打鍵する、あるいは、画面上の特定のアイコンをクリックするなどである。次に入力した情報について、実行対象管理部１２１への指示か否か（選択中の実行対象への入力か）を判断する（Ｓ１２４）。この判定はあらかじめ定められたルールに従い行う。例えば、入力した情報の内容により判断する。あるいは、ディスプレイに設定画面（図１２(Ｂ)など）が表示されているときは入力は実行対象管理部１２１への指示とみなし、利用モードの画面（図１２（Ｃ））が表示されているときは、選択されている利用モードに対応する実行対象への入力と判断される。ステップＳ１２４においてＮＯと判断された場合、すなわち実行対象への入力と判断された場合は、入力した情報を実行部１１０へ送信し、実行対象で処理を継続し（Ｓ１１０)、ステップＳ１４０に戻る。一方、ＹＥＳと判断された場合、すなわち実行対象管理部１２１への入力があったと判断された場合は、状態遷移表（図１０）に従って状態遷移を行い、必要なアクションを実行する（Ｓ１２０)、そしてステップＳ１４０に戻る。ステップＳ１２０の処理は図３に示した処理である。ただし、重複処理となってしまうステップは省略される。例えば、既にどの利用モードに対するアクションかが決定されている場合は、ステップＳ１２４１は省略される。保持者確認が終了している場合は、ステップＳ１２２１は省略される。また、ネットワークとの接続が終了している場合は、ステップＳ１２２２、Ｓ１２１１、Ｓ１２１３などが省略される。そして、状態遷移実行手段１２１４が、当該利用モードの状態を遷移させる（Ｓ１２１４）。

次に、図１２を参照して、仮想クライアント端末１００の表示画面の例を示す。図１２(Ａ)は、システムが初期状態にあるときのメニュー画面の例である。ここで画面上部にあるパスワードのダイアログボックスにパスワードを入力することで、アンロックイベント（ｕｌ）を生成する。また利用モードに対する選択ボタンをクリックすれば、現在の接続状態に応じて選択した利用モードに対する接続イベント（ｃｎ）または切断（ｄｃ）イベントを生じる。すなわち接続状態にある時にボタンをクリックすれば切断イベントを生じる。逆に切断状態にある時にボタンをクリックすれば接続イベントを生じる。また起動ボタンも選択ボタンと同様に、起動状態により起動(up)イベントもしくは停止(dn)イベントを生じる。また、図１２（Ａ）から、パスワードを入力すれば、システムの状態がアンロックになり画面表示は図１２（Ｄ）になる。この場合は、さらにパスワードに入力する必要がないので、パスワード入力ができなくなっている。ただし、この状態から一定時間操作を行わなかった場合は、タイムアウトによりロックイベント（ｌｋ）が発生し、システムは初期状態Ｔ０に戻り画面表示も図１２（Ａ）に戻る。さらに図１２（Ａ）の状態で、保持者が利用モード２の起動ボタンをクリックすると、利用モード２に対して起動イベント（ｕｐ）が生成され、利用モード２に対応する実行対象が起動される。さらに利用モード４、７を起動し、さらに利用モード２、４を選択した状態が図１２（Ｂ）である。図１２（Ｂ）の状態で“ＯＫ”をクリックすると設定画面から抜けて実行対象表示画面（図１２（Ｃ））に遷移する。ここでは図１２（Ｂ）の画面で選択されていた利用モード２と４の画面が表示されている。また、実行対象表示画面において特定のキーを押した時、設定画面（例えば図１２（Ｂ））に遷移する。

なお、図９に示した状態遷移図および図１０に示した状態遷移表は、利用モードに対する状態遷移の一例である。各利用モードに対する状態遷移は、同一である必要はなく、利用モードのコンテキスト毎に異なる状態遷移図を用いてもよい。たとえば、図９の状態遷移は、接続/切断，アンロック/ロック，起動/停止の各状態が独立になっているが、異なる状態遷移により、それらの状態を関連するものとして扱ってもよい。たとえば、Ｃ１（重要業務）のコンテキストの元では、接続後に自動的に起動し、切断後に自動的に停止するような状態遷移を用いてもよい。この場合、起動時間を最小限にとどめ安全性を増すことができる。また、別の利用モードにおいては、端末起動時に自動的に実行対象を起動することで、起動の待ち時間を減らすようにしてもよい。また、Ｃ６（ゲスト）のコンテキストでは、保持者確認を必要とせず、ロックを行わない状態遷移を用いてもよい。さらに、コンテキスト毎に保持者確認を必要とする頻度を変えてもよい。たとえば、Ｃ１（重要業務）では１時間毎の保持者確認、Ｃ２（通常業務）では一日毎の保持者確認、Ｃ５（プライベート）では１週間毎の保持者確認をそれぞれ必要とするよう設定することも可能である。この場合、最後に保持者確認を行った時刻により、ある利用モードはロックされ、別の利用モードはアンロックされているといった状態が起こりうる。このように利用モードのコンテキスト毎に状態遷移を使い分けた場合においても、保持者確認を行った結果は利用モード間で共有することができる。上記のいずれの場合も各利用モードの状態遷移は図９に比べてより簡単になりユーザの操作も簡略化される。特に、各利用モードの実行対象に個別にログイン認証を行う必要がなく、保持者確認の結果を共有することで、ユーザの認証の手間を減らしている。また保持者確認に基づいて、利用モードのコンテキストに応じてクレデンシャルを切り替えて利用できるため、安全にサービス提供サーバへの認証が行える。

プロセッサ、プログラム、媒体
上述の説明では、端末管理部１２０を備えた仮想クライアント端末１００について説明した。端末管理部１２０は、それだけを１つのプロセッサで形成し、端末に組み込むことで仮想クライアント端末を形成してもよい。この場合は、上述の端末管理部１２０が、端末管理プロセッサとなる。

また、仮想クライアント端末や端末管理装置をコンピュータによって実現する場合、各構成部が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

本発明は、利用目的に応じて異なる処理を実行する複数の利用モードを持ち、それらの利用モードを切り替えて利用する仮想クライアント端末に利用することができる。

１００ 仮想クライアント端末 １１０ 実行部
１２０ 端末管理部 １２１ 実行対象管理部
１２２ ユーザ管理部 １２４ ユーザインターフェース部
１２５ ネットワーク接続管理部 １２６ 制御部
１２９ 端末管理記録部 １３０ 実行対象記録部
１４０ 入出力部
１９０ ネットワークインターフェース部 １２１１ コンテキスト取得手段
１２１２ ユーザインターフェース情報取得手段
１２１３ 環境設定手段（クレデンシャル設定手段）
１２１４ 状態遷移実行手段 １２２１ 保持者確認手段
１２２２ クレデンシャル選択手段

Claims (10)

1. 複数の実行対象を実行するクライアント端末であって、
   複数の実行対象の処理を実行する実行部と、
   ユーザ管理を行う端末管理部と、
   ネットワークと接続する機能を有するネットワークインターフェース部と、
   利用者と情報を授受するための入出力部と
   を備え、
   コンテキストとは、実行対象の用途、利用目的を表す情報であり、
   利用モードとは、特定のコンテキストのもとで実行される特定の実行対象を表すものであり、
   前記端末管理部は、
   前記実行対象と利用モード識別情報とコンテキストを識別するコンテキスト識別情報とユーザインターフェース情報とを対応させる利用モード管理情報と、コンテキスト識別情報とクレデンシャルとを対応させるコンテキスト管理情報と、認証に用いるクレデンシャルを記録した端末管理記録部と、
   前記実行対象に対する利用モード、実行対象の状態を管理する実行対象管理部と、
   ユーザの管理を行うユーザ管理部と、
   前記ユーザインターフェース情報にしたがったユーザインターフェースを前記入出力部に設定するユーザインターフェース部と
   を備え、
   前記ユーザ管理部は、
   端末保持者の正当性を確認する保持者確認手段と、
   前記コンテキスト管理情報を用いてコンテキスト識別情報に対応するクレデンシャルを選択するクレデンシャル選択手段と
   を有し、
   前記実行対象管理部は、
   前記利用モード管理情報を用いて前記端末保持者が利用する利用モードに対応するコンテキスト識別情報を取得するコンテキスト取得手段と、
   前記利用モード管理情報を用いてユーザインターフェース情報を取得し、前記ユーザインターフェース部に渡すユーザインターフェース情報取得手段と、
   前記選択したクレデンシャルを設定するクレデンシャル設定手段と
   を有する
   ことを特徴とするクライアント端末。
2. 請求項１記載のクライアント端末であって、
   前記端末管理記録部は、前記実行対象の状態の遷移の条件とアクションとを対応させる状態遷移表も記録しており、
   前記実行対象管理部は、
   前記状態遷移表にしたがって前記実行対象の状態を遷移させ、必要なアクションを実行する状態遷移実行手段も
   有する
   ことを特徴とするクライアント端末。
3. 請求項２記載のクライアント端末であって、
   前記実行対象の状態の遷移は、接続/切断、アンロック/ロック、起動/停止の各状態の組み合わせの遷移であり、
   前記利用モードごとまたは前記コンテキストごとに、状態の遷移を決めることができ、
   かつ、利用モード間の状態の遷移を独立なものまたは関連するものに設定でき、かつ、接続/切断、アンロック/ロック、起動/停止の各状態の組み合わせは、それぞれを独立なものまたは関連するものとして組み合わせた状態に設定できる
   ことを特徴とするクライアント端末。
4. 複数の実行対象の処理を実行する実行部と、ネットワークと接続する機能を有するネットワークインターフェース部と、利用者と情報を授受するための入出力部とを備え、複数の実行対象を実行できるクライアント端末のユーザ管理方法であって、
   コンテキストとは、実行対象の用途、利用目的を表す情報であり、
   利用モードとは、特定のコンテキストのもとで実行される特定の実行対象を表すものであり、
   前記実行対象と利用モード識別情報とコンテキスト識別情報とユーザインターフェース情報とを対応させる利用モード管理情報と、コンテキストと環境設定情報とを対応させるコンテキスト管理情報と、認証に用いるクレデンシャルを記録しておき、
   端末保持者の正当性を確認する保持者確認ステップと、
   前記利用モード管理情報を用いて前記端末保持者が利用する利用モードに対応するコンテキスト識別情報を取得するコンテキスト取得ステップと、
   前記コンテキスト管理情報を用いて前記取得したコンテキスト識別情報に対応するクレデンシャルを選択するクレデンシャル選択ステップと、
   前記選択したクレデンシャルを設定するクレデンシャル設定ステップと
   前記利用モード管理情報を用いてユーザインターフェース情報を取得するユーザインターフェース情報取得ステップと、
   前記ユーザインターフェース情報にしたがったユーザインターフェースを設定するユーザインターフェース設定ステップと
   を有することを特徴とするユーザ管理方法。
5. 請求項４記載のユーザ管理方法であって、
   前記実行対象の状態の遷移の条件とアクションとを対応させる状態遷移表も記録しておき、
   前記状態遷移表にしたがって前記実行対象の状態を遷移させ、必要なアクションを実行する状態遷移実行ステップも
   を有することを特徴とするユーザ管理方法。
6. 請求項５記載のユーザ管理方法であって、
   前記実行対象の状態の遷移は、接続/切断、アンロック/ロック、起動/停止の各状態の組み合わせの遷移であり、
   前記利用モードごとまたは前記コンテキストごとに、状態の遷移を決めることができ、
   かつ、利用モード間の状態の遷移を独立なものまたは関連するものに設定でき、かつ、接続/切断、アンロック/ロック、起動/停止の各状態の組み合わせは、それぞれを独立なものまたは関連するものとして組み合わせた状態に設定できる
   ことを特徴とするユーザ管理方法。
7. 複数の実行対象の処理を実行する実行部と、ユーザ管理を行う端末管理部と、ネットワークと接続する機能を有するネットワークインターフェース部と、利用者と情報を授受するための入出力部とを備えるクライアント端末に組み込むための端末管理プロセッサであって、
   コンテキストとは、実行対象の用途、利用目的を表す情報であり、
   利用モードとは、特定のコンテキストのもとで実行される特定の実行対象を表すものであり、
   前記実行対象と利用モード識別情報とコンテキストを識別するコンテキスト識別情報とユーザインターフェース情報とを対応させる利用モード管理情報と、コンテキスト識別情報とクレデンシャルとを対応させるコンテキスト管理情報と、認証に用いるクレデンシャルを記録した端末管理記録部と、
   前記実行対象に対する利用モード、実行対象の状態を管理する実行対象管理部と、
   ユーザの管理を行うユーザ管理部と、
   前記ユーザインターフェース情報にしたがったユーザインターフェースを前記入出力部に設定するユーザインターフェース部と
   を備え、
   前記ユーザ管理部は、
   端末保持者の正当性を確認する保持者確認手段と、
   前記コンテキスト管理情報を用いてコンテキスト識別情報に対応するクレデンシャルを選択するクレデンシャル選択手段と
   を有し、
   前記実行対象管理部は、
   前記利用モード管理情報を用いて前記端末保持者が利用する利用モードに対応するコンテキスト識別情報を取得するコンテキスト取得手段と、
   前記利用モード管理情報を用いてユーザインターフェース情報を取得し、前記ユーザインターフェース部に渡すユーザインターフェース情報取得手段と、
   前記選択したクレデンシャルを設定するクレデンシャル設定手段と
   を有する
   ことを特徴とする端末管理プロセッサ。
8. 請求項７記載の端末管理プロセッサであって、
   前記端末管理記録部は、前記実行対象の状態の遷移の条件とアクションとを対応させる状態遷移表も記録しており、
   前記実行対象管理部は、
   前記状態遷移表にしたがって前記実行対象の状態を遷移させ、必要なアクションを実行する状態遷移実行手段も
   有する
   ことを特徴とする端末管理プロセッサ。
9. 請求項８記載の端末管理プロセッサであって、
   前記実行対象の状態の遷移は、接続/切断、アンロック/ロック、起動/停止の各状態の組み合わせの遷移であり、
   前記利用モードごとまたは前記コンテキストごとに、状態の遷移を決めることができ、
   かつ、利用モード間の状態の遷移を独立なものまたは関連するものに設定でき、かつ、接続/切断、アンロック/ロック、起動/停止の各状態の組み合わせは、それぞれを独立なものまたは関連するものとして組み合わせた状態に設定できる
   ことを特徴とする端末管理プロセッサ。
10. 請求項１から３のいずれかに記載のクライアント端末、もしくは請求項７から９のいずれかに記載の端末管理プロセッサとしてコンピュータを動作させるプログラム。

Images